সাধারণ ডকার এবং কুবারনেটস ইনস্টলেশনের (অনুপস্থিত) নিরাপত্তা অন্বেষণ করা হচ্ছে

আমি 20 বছরেরও বেশি সময় ধরে আইটিতে কাজ করছি, কিন্তু কোনোভাবে আমি কখনই কন্টেইনারের কাছাকাছি যাইনি। তাত্ত্বিকভাবে, আমি বুঝতে পেরেছিলাম যে তারা কীভাবে গঠন করা হয়েছিল এবং কীভাবে তারা কাজ করে। কিন্তু যেহেতু আমি অনুশীলনে তাদের মুখোমুখি হইনি, আমি নিশ্চিত ছিলাম না যে তাদের হুডের নীচের গিয়ারগুলি ঠিক কীভাবে ঘুরবে এবং ঘুরবে।

এছাড়া তাদের নিরাপত্তা কেমন ছিল তা আমার জানা ছিল না। কিন্তু আবার, তত্ত্বটি চমৎকার শোনাচ্ছে, এবং পুরানো গান "নিরাপত্তা বাড়ার সাথে সাথে ব্যবহারযোগ্যতা হ্রাস পায়" আমার মাথায় আটকে গেছে। তাই আমি ভেবেছিলাম যে যেহেতু পাত্রে সবকিছুই করা সহজ, তাহলে সেখানে নিরাপত্তা সমান নিচে। এটি সক্রিয় আউট হিসাবে, আমি সঠিক ছিল.

দ্রুত শুরু করার জন্য, আমি কোর্সের জন্য সাইন আপ করেছি কালো টুপি 2020 শিরোনাম "রাগ থেকে ধন পর্যন্ত: ডকার সোয়ার্ম এবং কুবারনেটস পরিবেশের অনুপ্রবেশ এবং সুরক্ষা».

শীলা এ. বার্টা এবং সল ওজান দ্বারা শেখানো কোর্সটি অবিলম্বে ডকার কন্টেইনারগুলি কীভাবে কাজ করে এবং কুবারনেটসে মোতায়েন করার সময় তারা যে যাত্রা নেয় তার বর্ণনা দিয়ে শুরু হয়েছিল। এটি একটি সম্পূর্ণ হ্যান্ডস-অন ক্লাস ছিল - শিক্ষার্থীদের ক্লাসের আগে তাদের মেশিনে ডকার এবং মাইক্রোকে 8 ইনস্টল করতে হয়েছিল - টুলগুলি কীভাবে একে অপরের সাথে ইন্টারঅ্যাক্ট করে তা দেখার একটি দুর্দান্ত উপায়, দুর্বল পয়েন্টগুলি খুঁজে বের করে এবং সবচেয়ে গুরুত্বপূর্ণভাবে, তাদের ব্লক করার চেষ্টা করে।

দুর্ভাগ্যবশত, যদিও কোর্সগুলি দুই দিন পর "রাজপুত্র" হওয়ার প্রতিশ্রুতি দিয়েছিল, আমি অনুভব করেছি যে সবকিছুই শুরু হয়েছে এবং আমার এখনও অনেক কিছু শেখার আছে।

আমার উচ্চতর পর্যবেক্ষণে ডুব দেওয়ার আগে, একটি ধারক কী তা ব্যাখ্যা করা গুরুত্বপূর্ণ। উন্নয়ন বিশ্বে, আপনার ব্যক্তিগত মেশিনে লেখা কোডটি পুরোপুরি কাজ করার জন্য এটি স্বাভাবিক বলে মনে করা হয়, কিন্তু আপনি যখন এটিকে কোথাও সার্ভারে চালানোর চেষ্টা করেন, তখন এটি কাজ করে না। কনটেইনাররা স্বয়ংসম্পূর্ণ মেশিন সরবরাহ করে এই সমস্যাটি কাটিয়ে উঠতে চেষ্টা করে যা আপনি সহজেই এক সার্ভার থেকে অন্য সার্ভারে যেতে পারবেন, জেনে রাখুন যে তারা সবসময় কাজ করবে। নাম অনুসারে, তারা কাজটি সম্পন্ন করার জন্য প্রয়োজনীয় কোড, লাইব্রেরি এবং অন্যান্য সফ্টওয়্যার ধারণ করে। অন্যদিকে কুবারনেটস হল পাত্রে জন্য অর্কেস্ট্রেশন প্ল্যাটফর্ম. নীতিগতভাবে, এটি শত শত বা হাজার হাজার বিভিন্ন পাত্রে নির্বিঘ্নে পরিচালনা করতে ব্যবহার করা যেতে পারে।

নীচে লাল এবং নীল দলের দৃষ্টিকোণ থেকে আমার কিছু ফলাফল রয়েছে।

লাল দল

বেশিরভাগ ধারক সামগ্রী রুট হিসাবে চলে: এর মানে হল যে যদি কন্টেইনারটি আপোস করা হয়, তাহলে আপনি ধারকটিতে সম্পূর্ণ অ্যাক্সেস পাবেন৷ এটি পরবর্তী পদক্ষেপগুলিকে অনেক সহজ করে তোলে।

একটি পাত্রে docker.sock মাউন্ট করা বিপজ্জনক: আপনার যদি একটি কন্টেইনারের ভিতরে রুট থাকে এবং ডকার সকেট (/var/run/docker.sock) আছে এমন একটি পাত্রে ডকার ইনস্টল করা থাকে, তাহলে অন্য কোনো পাত্রে অ্যাক্সেস সহ আপনার পুরো ক্লাস্টারটি অন্বেষণ করার সম্ভাবনা রয়েছে। এই ধরনের অ্যাক্সেস নেটওয়ার্ক বিচ্ছিন্নতা বা অন্য উপায় দ্বারা প্রতিরোধ করা যাবে না.

এনভায়রনমেন্ট ভেরিয়েবলে প্রায়ই গোপন তথ্য থাকে: বেশিরভাগ ক্ষেত্রে, মানুষ সাধারণ পরিবেশের ভেরিয়েবল ব্যবহার করে কন্টেইনারে পাসওয়ার্ড পাঠায়। তাই যদি আপনার অ্যাকাউন্টে অ্যাক্সেস থাকে, তাহলে আপনি পরবর্তীতে আপনার ক্ষমতা প্রসারিত করার জন্য এই পরিবেশের ভেরিয়েবলগুলিতে গুপ্তচরবৃত্তি করতে পারেন।

ডকার API অনেক তথ্য দিতে পারে: ডকার এপিআই, যখন ডিফল্টরূপে কনফিগার করা হয়, অনুমোদন ছাড়াই চলে এবং এক টন তথ্য তৈরি করতে পারে। শোডান ব্যবহার করে, আপনি সহজেই খোলা পোর্টগুলির একটি তালিকা খুঁজে পেতে পারেন, তারপর ক্লাস্টার সম্পর্কে বিস্তারিত তথ্য পেতে পারেন - এবং এর সম্পূর্ণ ক্যাপচারে এগিয়ে যান। ট্রেন্ডমাইক্রো এই বিষয়ে লিখেছেন সবচেয়ে আকর্ষণীয় নিবন্ধ.

নীল দল

রুট হিসাবে কন্টেইনার বিষয়বস্তু চালাবেন না: যদিও এটি রুট হিসাবে চালানো সহজ, আপনার এটি করা উচিত নয়। পরিবর্তে, Uid প্রদর্শন করে রিসেট অনুমতি সহ অ্যাপ্লিকেশনগুলি চালান, হয় CLI থেকে চালানোর সময় --user বিকল্পটি ব্যবহার করে, অথবা ডকারফাইলে USER উল্লেখ করে।

পাত্রে সফ্টওয়্যার ইনস্টল করার অনুমতি দেবেন না: প্রায় প্রতিটি আক্রমণই কিছু না কিছু লাগানোর মাধ্যমে শুরু হয়। nmap থেকে ifconfig থেকে ডকার নিজেই (একটি পাত্রের ভিতরে), একটি পাত্রে কিছু ইনস্টল করা সাধারণ ব্যাপার। একই কারণে, আপনি সবসময় সব অব্যবহৃত পোর্ট ব্লক করা উচিত. এটি আপনার মেশিন সংক্রামিত হলে নিয়ন্ত্রণ কমান্ডগুলিকে প্রেরণ করা থেকে প্রতিরোধ করতে সহায়তা করে। প্রোগ্রামগুলির ইনস্টলেশন রোধ করার পাশাপাশি, এটি নিশ্চিত করা উচিত যে কাজটি সম্পূর্ণ করার জন্য প্রয়োজনীয় ন্যূনতম সংখ্যক অ্যাপ্লিকেশন কন্টেইনারে ইনস্টল করা আছে।

docker.sock রক্ষা করুন: এটি অবশ্যই সুরক্ষিত থাকতে হবে কারণ ধারক এবং ক্লাস্টারের মধ্যে যোগাযোগ এই সকেটের মাধ্যমে প্রক্রিয়া করা হয়। যেহেতু আমি এই নিবন্ধে বিস্তারিত যেতে চাই না, পড়ুন ডকার থেকে নোট, কি ঘটতে পারে, এবং কিভাবে সব ব্লক করা যায়।

পরিবেশ ভেরিয়েবলের পরিবর্তে ডকার সিক্রেট ব্যবহার করুন: রহস্য আছে প্রায় 2017 সাল থেকে. যদিও এটি সুরক্ষিত নয়, তবুও এটি কনটেইনারে গোপন ডেটা প্রেরণের জন্য পরিবেশের ভেরিয়েবলের চেয়ে ভাল।

যদি নিবন্ধটি পাত্রে আপনার আগ্রহের কারণ হয়ে থাকে, আপনি সহজেই Docker বা microk8s (Kubernetes-এর একটি ছোট সংস্করণ) ইনস্টল করতে পারেন। এটা হল Linux এবং MacOS এর জন্য ডকার ইনস্টল করার জন্য নির্দেশাবলী রয়েছে, এবং এখানে — Windows, Linux এবং MacOS-এর জন্য microk8s ইনস্টল করার নির্দেশাবলী।

ইন্সটল করার পর যেতে পারেন এটি একটি দ্রুত শুরু নির্দেশিকা ডকার থেকে, অনুরূপ বিকল্প দেওয়া এবং microk8s জন্য।

আপনি যদি ডকারের উপর একটি বিস্তৃত কোর্স করতে চান বা করতে চান, যেখানে ব্যবহারিক বক্তারা এর সমস্ত সরঞ্জাম পরীক্ষা করে: মৌলিক বিমূর্ততা থেকে শুরু করে নেটওয়ার্ক প্যারামিটার, বিভিন্ন অপারেটিং সিস্টেম এবং প্রোগ্রামিং ভাষার সাথে কাজ করার সূক্ষ্মতা, তারপর চেষ্টা করুন "ডকার ভিডিও কোর্স" আপনি প্রযুক্তির সাথে পরিচিত হয়ে উঠবেন এবং বুঝতে পারবেন কোথায় এবং কীভাবে ডকার ব্যবহার করতে হবে। এবং একই সময়ে, সর্বোত্তম অনুশীলনের কেসগুলি পান - স্পাইক হ্যান্ডেলগুলির সাথে ব্যক্তিগতভাবে রেকগুলির চেয়ে নিরাপত্তার সাথে এবং অনুশীলনকারীদের সাহায্যে রেকের গল্পগুলি থেকে শেখা ভাল।

উত্স: www.habr.com